PHP2Shell pe un VPS administrat de dvs: ce aveți de făcut

Pe un VPS administrat de dvs, actualizarea PHP pentru PHP2Shell (CVE-2026-109618 și CVE-2026-109619) vă revine, ca orice actualizare de sistem. Mai jos găsiți pașii și o măsură temporară pentru cazul în care nu puteți actualiza imediat.

Ce versiuni au corecția

Pe 21 octombrie 2026 echipa PHP a publicat versiunile 8.2.35, 8.3.36, 8.4.27 și 8.5.12. Multe distribuții Linux de server aplică însă corecția peste versiunea existentă, așa că numărul versiunii poate rămâne același. Contează ca pachetul instalat să menționeze cele două CVE-uri în changelog.

Pentru PHP 7.4, 8.0 și 8.1 echipa PHP a publicat corecția doar ca cod sursă, iar pachetele corectate depind de furnizorul lor. Pentru 5.x și 7.0 până la 7.3 nu există corecție. Singura variantă sigură este trecerea pe o versiune susținută, de exemplu 8.3 sau 8.4.

Pașii

Aflați ce versiuni PHP rulează și din ce pachete vin:

php -v
rpm -qa | grep -i php        # AlmaLinux, CloudLinux, cPanel
dpkg -l | grep -i php        # Debian, Ubuntu

Actualizați pachetele PHP, după sistem:

dnf update 'ea-php*' 'alt-php*'    # cPanel (alt-php doar pe CloudLinux)
dnf update 'php*'                  # AlmaLinux / Rocky / RHEL fără cPanel
apt update && apt upgrade          # Debian / Ubuntu

Pe un VPS cu cPanel actualizarea automată de noapte instalează pachetele ea-php dacă nu ați dezactivat-o. Verificați totuși pasul următor.

Reporniți PHP, pentru că procesele pornite înainte de actualizare rulează în continuare codul vechi:

systemctl restart php-fpm                          # PHP-FPM (pe Debian/Ubuntu: php8.3-fpm etc.)
/scripts/restartsrv_apache_php_fpm                 # PHP-FPM pe cPanel
systemctl restart httpd                            # Apache cu mod_php (pe Debian/Ubuntu: apache2)
touch /usr/local/lsws/admin/tmp/.lsphp_restart.txt # LiteSpeed

Verificați că pachetul conține corecția:

rpm -q --changelog <pachet> | grep CVE-2026-109618
apt changelog <pachet> | grep CVE-2026-109618

În phpinfo(), câmpul “Build Date” trebuie să arate o dată de 20 octombrie 2026 sau mai nouă.

Dacă nu puteți actualiza imediat

Ca măsură temporară, setați în php.ini linia de mai jos și reporniți PHP:

session.upload_progress.enabled = 0

Setarea închide calea de atac cunoscută pentru CVE-2026-109619. Pentru CVE-2026-109618 nu există o setare care să o închidă complet, deci actualizarea rămâne necesară. Cel mai expus este PHP rulat ca modul Apache (mod_php), unde echipa PHP a confirmat execuția de cod.